🇰🇷 한글 설명
Apache Struts에서 공유 리소스를 사용하는 과정 중 부적절한 동기화로 인해 발생하는 레이스 컨디션(Race Condition) 취약점입니다. 날짜나 시간 인자를 포맷팅할 때 애플리케이션 전역 텍스트 제공자가 격리되지 않은 상태로 포맷터를 유지하여, 한 사용자의 데이터가 다른 사용자에게 노출되거나 서버 오류가 발생할 수 있습니다.
💡 쉬운 설명
여러 사용자가 동시에 접속할 때 시스템이 정보를 처리하는 과정에서 순서가 뒤섞여 발생하는 문제입니다. 이로 인해 다른 사람의 개인정보가 잘못 표시되거나 서비스가 갑자기 멈출 수 있습니다.
🇺🇸 원문 (English)
Concurrent execution using shared resource with improper synchronization ('race condition') vulnerability in Apache Struts. Where a localized message formats a date or time argument, the formatter retained for that message by the application-wide text provider is used by concurrently served requests without isolation, so a value belonging to one user can appear in another user's response, or the rendering can fail and surface as a server error. Applications whose localized messages format no date or time arguments are not affected.
This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0.
Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.
📍 영향받는 시스템
Apache Struts 2.0.0-2.3.37, 2.5.0-2.5.33, 6.0.0-6.11.0, 7.0.0-7.3.0
⚔️ 공격 벡터
동시 다발적인 요청을 통해 공유 리소스의 동기화 오류를 유도하여 데이터 노출 또는 서비스 거부 유발
🛡️ 대응 방법
Apache Struts를 버전 6.12.0 또는 7.4.0 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 Apache Struts 버전이 출력되면 해당 시스템은 보안 위험이 있는 상태입니다.
grep -r 'struts' /etc/ /usr/share/ /opt/ 2>/dev/null | grep -E '2\[0-3]\.[0-9]{2}|2\.5\.[0-9]{2}|6\.[0-9]{2}|7\.[0-3]\.[0-9]{2}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server